Загрузка...

Анализ скрытого майнера от EvilBanana

Тема в разделе Вирусология создана пользователем Jr.Neymar 25 дек 2017. (поднята 25 дек 2017) 640 просмотров

Загрузка...
  1. Jr.Neymar
    Jr.Neymar Автор темы 25 дек 2017 Заблокирован(а) 4 22 дек 2017
    Предисловие
    Сразу проспойлерю концовку: этот майнер оказался моим майнером первой версии, только почему-то немного поломанный. За код, который вы увидите, ответственности не несу, я писал его еще 06.17 по гуглу :D

    Анализ файла
    Как выглядит изначальный билд:
    [IMG]
    Смотрим что это вообще такое:
    [IMG]
    Темида? На самом деле, уже на этом моменте я понял, что что-то не так. Ибо я не видел продуктов кроме своего и фоксовского где еще накрывают билды темидой.

    Поведение и распаковка
    Для анпакинга темиды я решил воспользоваться дедовским способом: запустить файл на виртуалке, сдампить через petools и пройтись universal fixer'ом.

    После запуска у меня на виртуалке вылезло вот это:
    [IMG]
    Кажется, кто-то забыл скомпилить xmrig под релизом. В процессах было это:
    [IMG]
    А в папку ****нулись следующие файлы:
    [IMG]
    Тут у меня не осталось сомнений что это древнейшая версия моего майнера. Точно такая же папка ****а, консольный майнер + .NET обертка.

    Насмотревшись на поведение майнера, я решил все-таки сдампить процесс:
    [IMG]
    И получил следующий файл:
    [IMG]
    К слову, в оригинале не было этих дллок и файл весил гораздо меньше. К тому же, файл в ресурсах (консольный майнер) тоже у меня всегда был под темидой.

    Далее прошелся по нему фиксером:
    [IMG]
    Фикшенный файл впихнул в ILSpy и получил исходный код:
    [IMG]

    P.S. Код был немного изменен, добавлены какие-то мелочи, но я не вникал


    Ссылки
    Исходный код + семпл - https://yadi.sk/d/hjV_HCRC3QvinS
    Продажник -
    https://zelenka.guru/threads/261557/
     
  2. Андрей2285423647
    оч полезно
     
  3. notme666
    notme666 31 дек 2017 Я волшебная принцесса из другого измерения! 15 27 авг 2017
    И как интересно из всего этого добра майнер собрать???
     
  4. BrOmIxYT
    Копипаст у сорика..... Тему дельни
     
  5. Reqy
    Reqy 1 янв 2018 Да 278 28 ноя 2016
    На форуме нет темы, так что какая разница?
     
  6. BrOmIxYT
    Копипаст это. Пусть укажет хоть. Схерали другие старались а он симпу валит
     
  7. MaRsSSy
    MaRsSSy 1 янв 2018 Новая ава за 7 лет? 958 22 окт 2015
    Точно твоим?)
     
  8. BrOmIxYT
    Я о том же, пусть вырезал бы
     
Top